Générateur de mots de passe

La force d'un mot de passe aléatoire est fonction du nombre de mots de passe possibles étant donné sa longueur et son jeu de caractères, et ce nombre croît exponentiellement avec la longueur mais seulement linéairement avec la taille du jeu de caractères — ajouter une position de caractère supplémentaire multiplie l'espace total de possibilités, tandis qu'ajouter un type de symbole autorisé supplémentaire le déplace à peine. Un mot de passe de 20 caractères utilisant seulement des lettres minuscules tire de 26 possibilités par position sur 20 positions, résultant en bien plus de combinaisons totales qu'un mot de passe de 8 caractères tiré d'un jeu bien plus riche de 94 caractères possibles (majuscules, minuscules, chiffres et symboles combinés) mais avec seulement 8 positions où les placer. C'est la raison mathématique pour laquelle la longueur est le facteur dominant dans la force d'un mot de passe, et pourquoi le conseil de longue date d'ajouter des symboles et de la casse mixte compte bien moins que simplement rendre le mot de passe plus long.

Tous les générateurs de nombres aléatoires ne sont pas également imprévisibles. `Math.random()`, la fonction aléatoire à usage général intégrée à JavaScript, est conçue pour la vitesse et la distribution statistique dans des choses comme les animations ou mélanger un plateau de jeu — elle n'est pas conçue pour résister à un attaquant essayant spécifiquement de prédire sa sortie, et dans certaines implémentations son état interne peut être partiellement reconstruit à partir d'une poignée de sorties observées. `crypto.getRandomValues()`, l'API qu'utilise cet outil à la place, puise dans la source de nombres aléatoires cryptographique du système d'exploitation — la même source sous-jacente utilisée pour générer des clés de chiffrement — construite et auditée spécifiquement pour résister exactement à ce type d'attaque de prédiction. Utiliser autre chose qu'un CSPRNG (générateur de nombres pseudo-aléatoires cryptographiquement sûr) pour générer des mots de passe est une faiblesse réelle et exploitable, pas théorique — plusieurs bugs publiés de générateurs de mots de passe sont venus exactement de cette substitution.

L'entropie, mesurée en bits, décrit combien de tentatives un attaquant aurait besoin pour essayer exhaustivement chaque possibilité avant de trouver la bonne — chaque bit supplémentaire double ce nombre, donc la relation est exponentielle plutôt que linéaire, et un saut de 60 à 70 bits représente une augmentation de mille fois de la charge de travail de l'attaquant, pas une amélioration modeste de dix unités. En dessous d'environ 50 bits, les attaques par force brute soutenues utilisant du matériel moderne deviennent réellement viables dans un délai pratique. La plage de 70-80 bits est considérée confortable pour un mot de passe ordinaire protégeant un compte en ligne typique. Au-dessus de 100 bits c'est confortablement au-delà de ce que tout effort de calcul actuellement concevable pourrait épuiser, c'est pourquoi le guide de cet outil et son mesureur de force s'ancrent autour de ces seuils précis plutôt qu'une recommandation vague de « le rendre plus fort ».